CVE-2026-33980 — table_name 매개변수를 통한 adx-mcp-server의 KQL 인젝션

심각도: 높음 (CVSS 8.3) CWE: CWE-943 — 데이터 쿼리 로직 내 특수 요소의 부적절한 중화 영향받는 버전: adx-mcp-server <= 1.1.0 권고문: GHSA-vphc-468g-8rfp NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-33980 크레딧: Romain Deperne

요약

adx-mcp-server의 세 가지 MCP 도구는 table_name 매개변수를 f-string을 통해 KQL(Kusto Query Language) 쿼리에 직접 삽입합니다. 공격자 또는 프롬프트 인젝션된 AI 에이전트는 Azure Data Explorer 클러스터의 모든 테이블을 읽거나, 관리 명령(.drop table)을 실행하거나, 임의의 분석 쿼리를 실행할 수 있습니다 — 이는 "안전한" 메타데이터 도구와 원시 execute_query 도구 사이의 신뢰 경계를 우회하는 것입니다.

분석

저는 awesome-mcp-servers 목록을 살펴보며 특히 클라우드 데이터 플랫폼을 감싸는 MCP 서버를 찾고 있었습니다 — 이런 서버들은 AI 에이전트에게 직접적인 데이터베이스 접근 권한을 부여하도록 설계되어 있어 고위험이며, MCP 도구 매개변수는 완전히 공격자가 제어할 수 있습니다(신뢰할 수 없는 데이터를 처리하는 모든 LLM은 악의적인 도구 인자를 전달하도록 프롬프트 인젝션될 수 있습니다).

MCP 도구 매개변수가 Azure Data Explorer 쿼리에 도달하는 방식을 검토한 결과 server.py에서 세 가지 직접 삽입을 발견했습니다: f"{table_name} | getschema", f"{table_name} | sample {sample_size}", 그리고 f".show table {table_name} details".

흥미로운 점은 신뢰 경계 우회입니다: 이 서버는 원시 execute_query 도구( MCP 클라이언트가 인간의 승인을 요구할 수 있는 도구)와 이러한 "안전한" 메타데이터 검사 도구(자동 승인되는 도구)를 모두 노출합니다. 메타데이터 도구를 통한 인젝션은 클라이언트가 시행하는 모든 승인 정책을 우회할 수 있게 해줍니다. 이것이 이 문제를 "인젝션 버그"에서 실제 보안 경계 위반으로 격상시킨 이유입니다.

KQL 주석 구문(//)을 사용하면 페이로드가 원래 쿼리의 나머지 부분을 억제할 수 있습니다.

영향받는 구성 요소

파일: src/adx_mcp_server/server.py

# Line 228 — get_table_schema
query = f"{table_name} | getschema"

# Line 248 — sample_table_data
query = f"{table_name} | sample {sample_size}"

# Line 268 — get_table_details
query = f".show table {table_name} details"

세 가지 모두 MCP 도구 인자에서 받은 table_name을 검증 없이 그대로 client.execute(config.database, query)로 전달합니다.

근본 원인

KQL은 |를 사용한 쿼리 연산자 파이핑과 . 접두사가 붙은 관리 명령 실행을 허용합니다. // 문자는 줄 주석을 시작합니다. 따라서 직접적인 f-string 보간은 쿼리 주입을 허용합니다:

• f"{table_name} | getschema" → | project Secret //를 추가하여 | getschema를 주석 처리
• f".show table {table_name} details" → \n.drop table을 주입하여 관리 명령을 연쇄 실행

이것이 단순한 execute_query 도구를 넘어 중요한 이유: MCP 클라이언트는 흔히 "안전한" 읽기 전용 도구(자동 승인)와 원시 실행 도구(확인 필요)를 구분합니다. 이 주입은 "안전한" 메타데이터 도구를 대상으로 하여 승인 경계를 우회합니다.

PoC

전체 시연은 poc.py를 참조하세요. 핵심 페이로드:

# Data exfiltration via get_table_schema
# f"{table_name} | getschema" becomes:
# "sensitive_data | project Secret, Password | take 100 // | getschema"
# → // comments out "| getschema"; query reads sensitive_data columns
table_name = "sensitive_data | project Secret, Password | take 100 //"

# Destructive management command via get_table_details
# f".show table {table_name} details" becomes:
# ".show table users details\n.drop table critical_data details"
table_name = "users details\n.drop table critical_data"

MCP 도구 호출:

{"name": "get_table_schema", "arguments": {"table_name": "sensitive_data | project Secret, Password | take 100 //"}}
{"name": "get_table_details", "arguments": {"table_name": "users details\n.drop table critical_data"}}

영향

1. 데이터 유출 — Azure Data Explorer 데이터베이스의 모든 테이블 읽기
2. 데이터 파괴 — .drop table, .drop extents와 같은 관리 명령
3. 프롬프트 인젝션 증폭 — ADX에서 공격자가 제어하는 데이터를 처리하는 AI 에이전트가 악성 table_name 값을 전달하도록 조작되어, 프롬프트 인젝션이 전체 데이터 접근으로 이어질 수 있음

타임라인

• 보고됨: GHSA 비공개 권고
• CVE 게시됨: CVE-2026-33980